Wat doen de standaardinstellingen?
De standaardinstellingen voor beveiliging, in het Engels security defaults, zijn een vaste set maatregelen die Microsoft gratis aanbiedt. Bij nieuwere tenants staan ze standaard aan. Ze zorgen er onder meer voor dat alle gebruikers zich registreren voor MFA, dat beheerders altijd MFA gebruiken, dat gebruikers MFA uitvoeren wanneer dat nodig wordt geacht en dat verouderde authenticatie wordt geblokkeerd.
De beperkingen
Security defaults kunt u niet aanpassen. U kunt geen uitzonderingen maken, geen eisen stellen aan apparaten en niet kiezen welke MFA-methoden zijn toegestaan. Voor een kleine organisatie zonder bijzondere eisen is dat juist een voordeel: er valt weinig verkeerd in te stellen. Zodra u meer controle nodig hebt, schieten ze tekort.
Niet allebei tegelijk
Security defaults en Conditional Access sluiten elkaar uit. Wilt u Conditional Access gebruiken, dan zet u de standaardinstellingen eerst uit. Doe dat pas wanneer uw vervangende policies klaarstaan. Anders ontstaat er een periode waarin MFA niet wordt afgedwongen en verouderde authenticatie weer werkt.
Wanneer stapt u over?
Hebt u Microsoft 365 Business Premium of een andere licentie met Entra ID P1, dan is Conditional Access vrijwel altijd de betere keuze. U wilt dan bijvoorbeeld:
- toegang tot bedrijfsdata beperken tot beheerde of compatibele apparaten;
- phishingbestendige MFA verplichten voor beheerders;
- gastgebruikers en externe partijen aparte eisen stellen;
- onderbouwde uitzonderingen maken voor een noodaccount of een specifieke koppeling.
Controleer wat er nu actief is
In veel omgevingen staan de standaardinstellingen uit, terwijl er ook geen volledige set Conditional Access-policies is. Dat gebeurt bijvoorbeeld wanneer een beheerder de standaardinstellingen uitschakelde om één probleem op te lossen. Controleer daarom in het Entra-beheercentrum welke van de twee actief is en of de bescherming die u verwacht ook echt wordt afgedwongen.